El malware facilita los ataques “fantasmas” que utilizan la clave de autenticación de las tarjetas de crédito de las víctimas.

Kaspersky descubrió que Prilex, un conocido y peligroso agente de amenazas dirigidas a la industria de pagos, desarrolló una nueva estrategia, basada en ingeniería social, que tiene como objetivo las terminales de punto de venta (TPV).

El grupo de ciberdelincuentes detrás de este malware opera desde 2014 y, presuntamente, fue responsable de uno de los mayores ataques realizados a cajeros automáticos en Brasil en 2016, donde se clonaron más de 28,000 tarjetas de crédito y vaciaron más de 1,000 cajeros automáticos de un banco local. El daño del incidente se estimó en millones de dólares.

En México, de acuerdo con la Comisión Nacional Bancaria y de Valores, tres de cada cuatro personas utilizaron su tarjeta de crédito regularmente para realizar compras o pagos en 2021. Tan solo en el primer trimestre de 2022 se realizaron más de 220 millones de operaciones con tarjeta de crédito en terminales punto de venta con un valor de más de 200 mil millones de pesos, según datos del Banco de México.

Con Prilex los criminales obtienen datos de cientos de tarjetas diariamente, por lo que garantizar la seguridad del sistema de pagos es fundamental para la protección de las empresas, los consumidores y la industria, en general.

¿Cómo ocurre el ataque?

1. Los ciberdelincuentes seleccionan el establecimiento víctima.
2. Llaman al propietario de la empresa o a sus empleados con el pretexto de que un técnico debe actualizar el software de su terminal punto de venta.
3. Al aceptar, el técnico falso visita la empresa e infecta las máquinas con software malicioso. (También se han registrado casos donde la instalación del malware sucede vía remota).
4. Previo al ataque, realizan un análisis de la terminal punto de venta del establecimiento para verificar si cuenta con un mínimo de transacciones con tarjetas de crédito.
5. Si el malware percibe que hay pocas transacciones en el establecimiento, se cancela la estafa y el grupo buscará una nueva víctima.
6. En cambio, si es viable, analizan nuevamente el equipo a fin de encontrar el mejor escondite para el malware donde ningún antivirus lo identifique.
7. El software instalado cambia el proceso de pago en las terminales. Cuando el cliente paga con su tarjeta de crédito, el primer ingreso de su contraseña es controlado por el malware que roba la clave de autenticación generada en la primera transacción.
8. Al robarla, simulará un error para pedir nuevamente al cliente que introduzca su contraseña y completar el pago. Ni el consumidor ni el establecimiento saben que están siendo víctimas de un fraude.

Datos de la tarjeta de crédito capturados que luego se enviarán al servidor del operador.

Actualmente, Prilex se vende en la Darknet como Malware como servicio (MaaS), por lo que las versiones más sofisticadas y peligrosas de éste podrían propagarse a varios países, junto con el riesgo para empresas o entidades financieras en el mundo de perder millones de dólares^[1].

El esquema de los ataques de Prilex.